Cloudflare（クラウドフレア）とは、ホームページの「前」に立って、ドメイン管理・DNS・SSL証明書・表示の高速化（CDN）・攻撃からの防御（WAF）をまとめて引き受けてくれる仕組みです。多くの機能が無料で使えます。一方で、Cloudflareはホームページのデータを置く「サーバー」ではありません。PHPとMySQLが動かないため、WordPressをそのまま置くことはできません。この記事では、Cloudflareでできること・できないこと、別サーバーと組み合わせる正しい構成、料金、導入手順、つまずきやすい点を、制作会社の現場目線で解説します。

Cloudflareとは？30秒でわかる要点

Cloudflareは「サイトの置き場所」ではなく「サイトの手前に立つ中継所」です。訪問者はまずCloudflareに届き、Cloudflareが本来のサーバーへ取りに行って返します。この位置にいるからこそ、速くしたり守ったりできます。

ホームページの「前」に立つ仕組み

通常、ドメイン名を調べると直接サーバーの住所（IPアドレス）が返ります。Cloudflareを通すと、返るのはCloudflareの住所になります。訪問者の通信はいったんCloudflareを経由し、画像やCSSなどはCloudflare側に一時保存（キャッシュ）されて配られます。本来のサーバーは「オリジン」と呼ばれ、外からは見えなくなります。

サーバー会社ではない（置き場所は提供しない）

エックスサーバーやさくらインターネットのようなレンタルサーバーは、ファイルとデータベースを置いてプログラムを動かす場所です。Cloudflareの主力はその手前の通信を扱うことで、WordPressのようなPHPプログラムを動かす機能は持っていません。「ドメインとサーバーをCloudflareにまとめる」と聞くと全部を置き換えられそうに聞こえますが、サーバーだけは別に必要です。この点は後半で詳しく説明します。

無料で始められる理由

Cloudflareの無料プランは、個人サイトから中小企業のコーポレートサイトまで実用に足る内容です。収益の柱は大企業向けの契約プランと追加サービスなので、基本機能を無料で広く配ることで利用者を増やす方針になっています。2026年10月時点でも無料プランは月0ドルで、DNS・SSL・CDN・DDoS対策・基本のWAFが含まれます。

Cloudflareでできること｜主要機能8つ

制作の現場でよく使うのは次の8つです。どれも「サイトの手前」で働く機能で、サーバー側のプログラムを書き換えずに設定できます。

1. ドメイン管理（Cloudflare Registrar）

ドメインの取得・移管・更新ができます。特徴は原価販売で、.comなら年10ドル台です。登録者情報の非公開（WHOIS代行）も無料で付きます。ただし利用条件があり、DNSもCloudflareで管理することが必須です。また日本の.jpドメインは対応していません。

2. DNS管理

「このドメインはどのサーバーにあるか」を案内する住所録の機能です。反映が速く、レコードの編集画面も分かりやすいため、サーバー会社の管理画面でDNSを触るより事故が少ないのが利点です。DNSSECの有効化も数クリックで済みます。

3. SSL証明書の自動発行と更新

訪問者とCloudflareの間の通信は自動で暗号化されます。証明書の期限切れで「保護されていない通信」と表示される事故を防げます。注意点として、Cloudflareとオリジンサーバーの間も暗号化する設定（フル・厳密）にしないと、途中区間が平文になります。

4. CDNで表示を速くする

画像・CSS・JavaScriptを世界各地の拠点に一時保存し、訪問者に近い場所から配ります。海外からのアクセスが多いサイトや、画像の多いサイトで効果が大きいです。日本国内向けのサイトでも、サーバーの負荷が下がるぶん混雑時に安定します。

5. WAF・DDoS対策・Bot対策

攻撃の通信をサーバーに届く前で止めます。WordPressのログイン画面への総当たり、海外からの大量アクセス、脆弱性を狙った通信などが対象です。無料プランでも基本の管理ルールとレート制限ルール1本、Bot対策の簡易モードが使えます。

6. リダイレクトとURLのルール

「古いURLから新しいURLへ301で転送する」といった設定を、サーバーの.htaccessを触らずに画面から作れます。サイトリニューアルでURL構成が変わるときに、サーバーを引っ越しても転送ルールが残るのが便利です。無料プランでは合計70ルールと1万件の一括リダイレクトが使えます。

7. アクセス制限（Cloudflare Access）

公開前のテストサイトや管理画面に、メールアドレスのワンタイムコードでログイン制限をかけられます。Basic認証の代わりとして、お客様に確認してもらうテストページで使うと「パスワードを忘れた」のやりとりが減ります。

8. Turnstile（reCAPTCHAの代わり）

問い合わせフォームのスパム対策です。信号機の画像を選ばせるような手間がなく、訪問者に負担をかけません。WordPressへの入れ方はCloudflare TurnstileをWordPressに導入する方法で解説しています。

Cloudflareでできないこと｜WordPressが置けない理由

結論から言うと、CloudflareにWordPressをそのまま置くことはできません。理由はCloudflareがプログラムを動かす環境としてPHPとMySQLに対応していないためです。

PHPとMySQLが動かない

WordPressはPHPというプログラム言語で動き、記事や設定をMySQLというデータベースに保存します。Cloudflareがプログラムを動かす仕組み（Workers）が対応しているのはJavaScript・TypeScript・Python・Rustで、PHPは含まれていません。データベースもMySQLではなく独自のもの（D1）です。つまりWordPress本体を動かす土台がありません。これはWordPressに限らず、EC-CUBEやMovable Typeなど、PHPで動くCMSすべてに当てはまります。

Pages / Workers に置けるもの

Cloudflareにサイトを置く機能はあります。Pages（またはWorkersの静的配信）に置けるのは、HTML・CSS・JavaScriptで完結する静的サイトと、Next.jsやAstroなどのJavaScript系フレームワークで作ったサイトです。1ページのLPやティザーサイト、コーポレートサイトを静的HTMLで作る場合は向いています。無料プランで静的ファイルの配信は無制限、プログラム（Workers）の実行は1日10万リクエストまでです。

静的化すればWordPressを置けるが制限がある

WordPressをHTMLに書き出してPagesに置く「静的化」という方法はあります。ただし、管理画面で更新する仕組みが別の場所に必要になり、問い合わせフォーム・検索・会員機能・プラグインの動的な機能は動かなくなります。お客様が自分で記事を更新するサイトでは、更新のたびに書き出しの作業が発生するため、運用の負担が増えます。制作の現場では、更新頻度が低いサイトか、技術担当がいる会社でないと勧めていません。

メールボックスは持てない（Email Routingは転送だけ）

CloudflareのEmail Routingは「info@自社ドメイン宛てのメールをGmailなどへ転送する」機能で、受信箱を持つことはできません。今レンタルサーバーのメールボックスを使っている場合、サーバーを離れるならGoogle WorkspaceやMicrosoft 365、別サーバーのメール機能など、受信箱の行き先を別に決める必要があります。ここを見落とすとサイトは動いていてもメールが止まります。

正しい構成｜サーバーは別に用意し、Cloudflareを前に置く

WordPressサイトでCloudflareを使う正しい形は「WordPressはレンタルサーバーに置き、ドメインとDNSをCloudflareで持ち、通信をCloudflare経由にする」構成です。

構成を言葉で表すと

訪問者 → Cloudflare（DNS・SSL・CDN・WAF） → レンタルサーバー（WordPress本体）という3段です。ドメインの管理もCloudflareに置くと、「ドメインとDNSの主導権は自社」「サーバーは取り替え可能な部品」という分け方になります。サーバー会社を替えても、Cloudflare側のDNSを1行書き換えるだけで切替が完了します。

どのサーバー会社でも組める

エックスサーバー・さくらインターネット・ConoHa WING・ロリポップなど、国内の主要なレンタルサーバーはすべて外部DNSからの利用に対応しています。サーバー側で「ドメインの追加」をしたうえで、CloudflareのDNSにサーバーのIPアドレスを登録すれば動きます。サーバー会社の無料SSL（Let’s Encrypt）を使う場合は、認証の方式によってCloudflareのプロキシを一時的に外す必要があることがあります。

制作会社から見たメリット3つ

1つ目は、ドメインの管理を制作会社やサーバー会社に預けきりにしなくて済むことです。管理会社との契約が終わっても、ドメインとDNSが自社のCloudflareにあれば、サイトもメールも止まりません。2つ目は、SSL・301リダイレクト・アクセス制限をサーバーの設定ファイルを触らずに扱えることです。3つ目は、サーバーの引っ越しが低リスクになることです。TTLの管理と切替をCloudflare側で完結できます。

料金｜無料プランとProプランの違い

中小企業のコーポレートサイトなら無料プランで十分です。Proプランが必要になるのは、画像の自動最適化や詳細なWAFルールが欲しいときです。

無料プランでできる範囲

DNS・SSL・CDN・DDoS対策・基本のWAF・70ルール・Access（50ユーザーまで）・Turnstile・Email Routing（転送）が含まれます。アクセス数による課金はありません。無料プランで困る場面は、画像を自動で軽くしたい、WAFのルールをもっと細かく書きたい、サポートに問い合わせたい、の3つくらいです。

Proプラン（月20ドル）で増えるもの

2026年10月時点でProは年払いで月20ドル、月払いで月25ドルです。WAFの管理ルールが充実し、ルール数が225本に増え、画像の自動最適化（可逆圧縮）が付きます。ECサイトや画像の多いメディアサイトで検討する価値があります。Businessプランは月200ドルで、企業の基幹サイト向けです。料金は改定されることがあるため、最新情報は公式サイトでご確認ください。

ドメイン・その他の課金

ドメインは原価で、.comは年10ドル台です。ファイル保管のR2は毎月10GBまで無料、Workersの有料プランは月5ドルからです。いずれも米ドル建てのクレジットカード払いになる点は、経理処理の面で事前に確認しておくとよいです。

導入の手順｜既存のWordPressサイトをCloudflareに通す6ステップ

作業そのものは1〜2時間で終わります。ただしネームサーバーの切替は反映に時間がかかるため、アクセスの少ない時間帯に行い、翌日まで様子を見る前提で計画します。

ステップ1｜アカウントを作りサイトを追加する

Cloudflareのアカウントは、制作会社ではなく自社（ドメインの持ち主）のメールアドレスで作ります。ここが一番大事な判断です。制作会社に作業を任せる場合は、自社アカウントに制作会社をメンバーとして招待する形にすると、契約が終わっても主導権が残ります。

ステップ2｜DNSレコードを取り込んで確認する

サイトを追加すると、既存のDNSレコードが自動で読み込まれます。自動取り込みは漏れることがあるため、現在のサーバー会社の管理画面と1行ずつ見比べます。特にメール関係（MX・SPFのTXT・DKIM・DMARC）とサブドメインは必ず確認します。

ステップ3｜ネームサーバーを切り替える

ドメインを管理している会社の画面で、ネームサーバーをCloudflareが指定する2つに書き換えます。反映は数分から最大48時間です。切替前にDNSSECを使っていた場合は、先に無効化して24時間待ちます。

ステップ4｜SSLを「フル（厳密）」にする

SSL/TLSの設定を「フル（厳密）」にします。「フレキシブル」のままにすると、WordPressがリダイレクトを繰り返す不具合（リダイレクトループ）が起きやすく、Cloudflareとサーバーの間が暗号化されません。サーバー側にも有効なSSL証明書が入っていることが前提です。

ステップ5｜表示・メール・フォームを確認する

トップページ・下層ページ・管理画面のログイン・問い合わせフォームの送信・自社ドメインのメール送受信を順に確認します。スマホ表示も見ます。フォームの送信確認はテストメールが届くまでを確認します。

ステップ6｜WAFとキャッシュを調整する

管理画面（/wp-admin/ と wp-login.php）にレート制限や国別の制限をかけ、管理画面のURLはキャッシュしないルールを入れます。ここまでやって初めて「守られて速い」状態になります。

つまずきやすいポイントと対処

Cloudflare導入で起きるトラブルは、ほぼ「DNSの写し漏れ」「SSL設定」「キャッシュ」の3つに集約されます。症状ごとに確認する順番をまとめます。

メールが届かなくなった

MXレコードやSPFのTXTレコードの写し漏れがほとんどです。CloudflareのDNS画面で、MXの向き先と、メール用のAレコード（mail.自社ドメインなど）が「プロキシ」ではなく「DNSのみ」になっているかを確認します。メール関係のレコードはプロキシを通せません。

ページがリダイレクトを繰り返す

SSL設定が「フレキシブル」になっていて、WordPress側がhttpsへ転送し続けている状態です。「フル（厳密）」に変更し、WordPressのサイトURL設定がhttpsになっているかを確認します。

管理画面が「人間であることを確認」で止まる

Bot対策やWAFが管理者のアクセスを疑っている状態です。自社の固定IPを許可リストに入れるか、管理画面のパスだけルールの対象から外します。なお、この確認画面を偽装したフィッシングも出回っています。見分け方はCloudflareの「人間であることを確認」は本物かをご覧ください。

記事を更新したのに表示が変わらない

キャッシュが残っています。Cloudflareの「キャッシュをパージ」を実行するか、WordPress公式のCloudflareプラグインを入れて更新時に自動でキャッシュを消す設定にします。HTMLをキャッシュする設定（Cache Everything）は、ログイン状態の表示が混ざる事故につながるため、WordPressでは慎重に扱います。

ドメイン移管で「移管ロック」が外れない

ドメインをCloudflare Registrarに移すには、現在の管理会社でロック解除と認証コード（AuthCode）の発行が必要です。管理会社が制作会社やサーバー会社の場合、名義や契約の確認で時間がかかることがあります。登録や前回の移管から60日以内のドメインは移管できないルールもあるため、サイトリニューアルの予定があるなら早めに着手します。

制作の現場での判断基準｜Cloudflareを使うべきサイト・不要なサイト

サイト制作の観点では、「管理の主導権を自社で持ちたい」「サーバー会社を将来替える可能性がある」なら導入を勧めています。逆に、技術担当がおらず設定を触る人がいないサイトでは、増えた管理画面が負担になるだけのこともあります。

向いているケース

制作会社や管理会社の変更を予定している、サイトリニューアルでURL構成が変わる、海外からのアクセスがある、WordPressのログイン攻撃が多い、テストサイトを安全に見せたい。このどれかに当てはまれば効果が出ます。お客様のサイトでよくあるのは「以前の制作会社がドメインを持っていて連絡が取れない」という相談で、こうした事態を防ぐ意味でも自社のCloudflareにドメインを置く価値があります。

不要なケース

国内向けの小規模サイトで、サーバー会社のドメイン・DNS・SSL・WAFで十分に回っていて、変更の予定もない場合です。無理に入れる必要はありません。導入するなら「いま困っていることが何か」を先に決め、それがCloudflareで解決するかを確認してからにします。

よくある質問（FAQ）

Q. CloudflareにWordPressを置けますか？

A. 置けません。CloudflareはPHPとMySQLに対応していないためです。WordPressはレンタルサーバーに置き、その手前にCloudflareを入れる構成にします。

Q. Cloudflareは無料で使えますか？

A. 使えます。DNS・SSL・CDN・DDoS対策・基本のWAFは無料プランに含まれ、アクセス数による課金もありません。有料になるのはドメイン代（原価）と、Proプラン以上の機能が必要なときです。

Q. Cloudflareに移すとサーバー契約は不要になりますか？

A. なりません。WordPressを動かすサーバーは引き続き必要です。不要になるのは、サーバー会社に預けていた「ドメイン管理」と「DNS管理」の部分です。

Q. 自社ドメインのメールはどうなりますか？

A. DNSを正しく写せば今のサーバーのメールをそのまま使えます。サーバーも離れる場合は、Google Workspaceなど受信箱の行き先を別に用意します。CloudflareのEmail Routingは転送だけで受信箱にはなりません。

Q. .jpドメインもCloudflareで管理できますか？

A. ドメインの登録・移管（Registrar）は.jpに対応していません。DNS管理だけなら.jpでも使えるので、ドメインは今の会社に置いたままネームサーバーをCloudflareに向ける形になります。

Q. 導入でサイトが止まる時間はありますか？

A. DNSを正しく写してから切り替えれば、止まる時間は基本的にありません。ネームサーバーの反映中は新旧のどちらに届いても同じサーバーを指すためです。SSL設定の誤りで一時的にエラーが出るのが典型的な失敗なので、ステップ4を先に確認します。

まとめ

Cloudflareでできることは、ドメイン管理・DNS・SSL・CDN・WAF・リダイレクト・アクセス制限・フォームのスパム対策で、どれもサイトの「手前」で働く機能です。できないことは、PHPとMySQLで動くWordPressを置くことと、メールの受信箱を持つことです。正しい構成は「WordPressはレンタルサーバー、ドメインとDNSはCloudflare、通信はCloudflare経由」の3段です。導入時はDNSの写し漏れ・SSLの「フル（厳密）」・キャッシュの3点を押さえれば、大きなトラブルは避けられます。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。